Email-Worm.Win32.Petik

技術的な詳細

これは電子メールメッセージに添付された8KbのMADCOW.EXEファイルとして広がるインターネットワームです。ワームは、感染したメッセージを送信するために、MS Outlookを使用します。ワームは、mIRCクライアントに感染させることによって、そのコピーをIRCチャネルに送信することもできます。

ファーストラン

ワームが最初に起動されたとき（ユーザーがメッセージへのEXE添付ファイルをクリックしたとき、またはIRCダウンロードを受け付けるとき）、ワームは自分自身を2つのファイルにコピーします。

• Wininet32.exeの名前を持つWindowsシステムディレクトリ
• MadCow.exeの名前を持つWindowsディレクトリ

自動実行セクションにMadCow.exeファイルを登録します。

• WIN.INIファイル、[ウィンドウ]セクション、 "実行="キー – Win9xの下で
• WinNTの "Run ="キーのシステムレジストリで

その後、ワームはC：WIN32ディレクトリを作成し、ここに2つのファイルを作成します（DOSバッチファイルとVBSスクリプトプログラム）。

ENVOIE.BAT – ENVOIE.VBSファイル（次のファイル）を生成するだけです。
ENVOIE.VBS – このスクリプトはワームを感染したメッセージで広げます

拡大中に、このスクリプトはMS Outlookに接続し、感染した電子メールメッセージをMS Outlookアドレス帳のすべてのアドレスに送信します。メッセージには次の内容が含まれています。

件名： Pourquoi les vaches sont-elles folles？
ボディ：ボラティラとの関係
添付ファイル： MadCow.exe

セカンド・ラン

次の起動時（次回のWindows再起動時）、C：WIN32ディレクトリにMadCow.exeという名前のコピーが作成され、次のディレクトリにmIRCクライアントが感染します。

C：MIRC
C：MIRC32
C：プログラムファイルMIRC
C：プログラムファイルMMRC32

感染したmIRCクライアントは、感染したチャネルに参加するすべてのユーザーにワームコピー（MadCow.exeファイル）を送信します。

その他

ワームはレジストリキーを作成します：HKLMSoftware [Atchoum]

システムにmIRCクライアントが見つからない場合、WindowsシステムディレクトリにMSLS.ICOファイルが作成され、そこにimp（devil）のイメージが書き込まれ、EXEファイルの標準アイコンとして登録されます。

ワームはまた、本文に次のようなテキストの刻みを含んでいます。

IWorm.MadCow par PetiK（c）2000
私はあなたを愛していますMaya / Je t'aime